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Sicherheitsrisiken durch die Beauftragung des US-Unternehmens CSC und 
anderer Unternehmen, die in engem Kontakt zu US-Geheimdiensten stehen 


Vorbemerkung der Fragesteller 

Das IT-Beratungsuntemehmen Computer Sciences Corporation (CSC) mit 
Flauptsitz in Falls Church, Virginia, USA zählt laut der laufenden Berichterstat- 
tung der „Süddeutschen Zeitung“ vom 15./16. November 2013 sowie dem im 
November 2013 erschienenen Buch „Geheimer Krieg“ von Christian Fuchs/ 
John Goetz mit einem Jahresumsatz von ca. 16 Mrd. US-Dollar und 100 000 
Consultants (davon 3 000 Mitarbeiterinnen und Mitarbeiter allein in Deutsch- 
land) zu einem der größten IT-Beratungs- und Dienstleistungskonzeme der 
Welt. Das Unternehmen berät weltweit Regierungen, die britische Royal Mail 
und den britischen Gesundheitsdienst sowie zahlreiche US-Verwaltungen wie 
die US-Küstenwache, die US Navy und das US-Heimatschutzministerium, 
etwa bei der Abwicklung von Visaanträgen. Unter der Bush- Administration er- 
hielt CSC den Auftrag zur Erneuerung des IT-Systems der National Security 
Agency (NSA) (siehe dazu die oben genannten Quellen). Im Rahmen des noch 
bis zum Jahr 2014 laufenden sog. Groundbreaker- Vertrags sollen Tausende Mit- 
arbeiter der NSA zu CSC gewechselt sein. Das später wegen seiner Kosten ge- 
stoppte Abhörprogramm Trailblazer der NSA (vgl. http://en.wikipedia.org/ 
wiki/Trailblazer_ Project) wurde durch ein von CSC geführtes Konsortium 
durchgeführt. Während der Amtsführung des NSA-Chefs Michael Hayden war 
die CSC der drittgrößte Auftragnehmer staatlicher Stellen der USA und beriet 
neben der NSA auch das FBI und die CIA in IT-Fragen, nach Auffassung der 
Autoren von „Geheimer Krieg“ war CSC damit de facto die „EDV-Abteilung 
der amerikanischen Geheimdienstwelt“ (vgl. S. 197). 

Nach den oben genannten Recherchen der Journalisten des Norddeutschen 
Rundfunks (NDR) und der „Süddeutschen Zeitung“ war CSC zwischen 2003 
und 2006 auf der Grundlage eines Rahmenvertrags von 2002 Hauptauftragneh- 
mer der CIA für die Bereitstellung von Flugzeugen und Besatzung für das sog. 
extraordinary renditions programme (Fuchs/Goetz: „Geheimer Krieg“, S. 198). 
In diesem Programm führten die USA Entführungen und Verschleppungen von 
Personen durch, die von der CIA teilweise fälschlich als Terroristen identifi- 
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ziert worden waren und die in den Zielstaaten (der Gefahr) der Folter unterwor- 
fen wurden (siehe Bericht der Parlamentarischen Versammlung des Europa- 
rates vom 22. Januar 2006, AS/Jur (2006) 03 rev, und insbesondere im Hin- 
blick auf die Rolle von Staaten der Europäischen Union in diesem Zusammen- 
hang Europäisches Parlament, zuletzt Pressemitteilung vom 10. Oktober 
2013). Zu den bekannteren Fällen zählen die Entführungen von Khaled El- 
Masri und Imam Abu Omar. Heute sind die CSC sowie deren Tochterunterneh- 
men u. a. für die IT-Betreuung der US-Regionalkommandos von EUCOM und 
AFRICOM zuständig, welche im Verdacht stehen, für die verantwortliche 
Durchführung von gezielten Tötungen durch Drohnen insbesondere in Afrika 
zuständig zu sein (Goetz/Fuchs: „Geheimer Krieg“ Kapitel 2, S. 27 ff). 

Allein in den Jahren 2009 bis 2013 bekam die CSC Deutschland 100 Aufträge 
von zehn unterschiedlichen Bundesministerien, obersten Bundesbehörden und 
dem Bundeskanzleramt (Goetz/Fuchs a. a. O., S. 207 ff sowie die Antworten 
der Bundesregierung auf Bundestagsdrucksachen 17/10305 auf die Schriftliche 
Frage 91, 17/10352 auf die Schriftliche Frage 31 und 17/14530 auf die Schrift- 
lichenFragen 10und21). Seit 1990 wurden allein für den Verteidigungsbereich 
424 Aufträge im Wert von 146,2 Mio. Euro vergeben (Fragestunde vom 
28. November 2013, Antwort der Bundesregierung auf die Mündliche Frage 24 
des Abgeordneten Hans-Christian Ströbele, Plenarprotokoll 18/3, S. 136 (A)). 

Darunter befand sich eine Reihe sicherheitssensibler Aufträge für das Bundes- 
ministerium des Innern (BMI), das Bundesministerium der Justiz (BMJ), das 
Bundesministerium der Finanzen (BMF), das Bundesministerium der Verteidi- 
gung (BMVg) und die Bundeswehr. Beispiele hierfür sind Aufträge im Zusam- 
menhang mit der elektronischen Akte für Bundesgerichte, dem Sicherheitskon- 
zept für die Marine, der Sicherheit im Luftraum, der IT des BMI, dem neuen 
Personalausweis und De-Mail (siehe zu den Aufträgen im Einzelnen Goetz/ 
Fuchs a. a. O., S. 207 ff, Antworten der Bundesregierung auf Bundestags- 
drucksachen 17/10305 auf die Schriftliche Frage 91, 17/10352 auf die Schrift- 
liche Frage 31 und 17/14530 auf die Schriftlichen Fragen 10 und 21). Unter an- 
derem wurde die CSC Deutschland Solutions GmbH von der Bundesregierung 
mit der Überprüfüng des Quellcodes des von einem kommerziellen Anbieter 
entwickelten Spähprogramms beauftragt, um zu prüfen, ob dieses Spähpro- 
gramm verfassungsrechtlichen Anforderungen genügt (NETZPOLlTlK.ORG 
vom 13. Januar 2013, ZEIT ONLINE vom 2. Mai 2013). 

Auf Nachfrage des Abgeordneten Hans-Christian Ströbele gab die Bundes- 
regierung am 28. November 2013 an, keine Veranlassung für den Ausschluss 
von CSC aus dem reglementierten Verfahren zur Vergabe öffentlicher Aufträge 
zu sehen. Der Bundesregierung lägen keine Anhaltspunkte für eine Unzuver- 
lässigkeit von CSC im Sinne des Vergaberechtes vor. Weiterhin vermittle das 
parlamentarische Frage- und Informationsrecht keinen Anspruch auf Offenle- 
gung und Übersendung von Dokumenten an den Deutschen Bundestag, wes- 
wegen die Verträge mit CSC dem Fragesteller nicht zugänglich gemacht wür- 
den. Die für einen individualisierten Auftragnehmer anfallenden und abzurech- 
nenden Vertragsentgelte zählten hingegen zu dessen Betriebs- und Geschäfts- 
geheimnissen. Für die Überprüfung der etwaigen Strafbarkeit einzelner CSC- 
Mitarbeiter sei die Staatsanwaltschaft München I zuständig (Antworten der 
Bundesregierung vom 28. November 2013 auf die Mündliche Frage 24 und 
Nachfragen des Abgeordneten Hans-Christian Ströbele und die Mündliche 
Frage 25 des Abgeordneten Omid Nouripour, Plenarprotokoll 18/3). Die Zu- 
satzfrage des Abgeordneten Uwe Kekeritz, ob es schriftlich fixierte Kriterien 
für die Prüfung der Zuverlässigkeit privater Dienstleister im Hinblick auf die 
Wahrung nationaler Sicherheits- und Datenschutzinteressen gibt, die bei der 
Vergabe öffentlicher Aufträge durch die Bundesbehörden angewendet werden, 
wurde von der Bundesregierung durch den Parlamentarischen Staatssekretär 
beim Bundesminister des Innern, Dr. Oie Schröder, mit einem pauschalen Ver- 
weis auf die allgemeinen Kriterien und damit inhaltlich nicht beantwortet 
(Antworten der Bundesregierung vom 28. November 2013 auf die Mündliche 
Frage 26 des Abgeordneten Uwe Kekeritz und dessen Nachfragen, Plenarproto- 
koll 1 8/3). Anders als Dr. Oie Schröder, führte der Parlamentarische Staatsekre- 
tär beim Bundesminister für Wirtschaft und Technologie, Ernst Burgbacher, 
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auf die Mündliche Frage 6 des Abgeordneten Tom Koenigs jedoch aus, im Ver- 
gabeverfahren könne ein Bewerber ausgeschlossen werden, der nachweislich 
eine schwere Verfehlung begangen hat, die seine Zuverlässigkeit infrage stellt. 
Bei bestimmten sensiblen Aufträgen (zum Beispiel im Sicherheits- und Vertei- 
digungsbereich oder bei Wachdiensten) könnten zudem schärfere Anforderun- 
gen an die Zuverlässigkeit gestellt werden. Ob die Voraussetzungen für einen 
Ausschluss vorliegen, müsse vom öffentlichen Auftraggeber im Einzelfall ge- 
prüft und entschieden werden. Als Maßnahmen zur Sicherstellung der Vertrau- 
lichkeit zählte die Bundesregierung die Sicherheitsüberprüfüng bestimmter 
Mitarbeiter der beauftragten Firmen, eine Geheimschutzbetreuung der Mitar- 
beiter durch das Bundesministerium für Wirtschaft und Technologie (BMWi), 
Nutzungs- und Übermittlungsverbote als „Bestandteil der Vertragsbeziehun- 
gen“ und gegebenenfalls Erbringung der Dienstleistung „nur in den Räumen 
des Auftraggebers“ und im Beisein eines Mitarbeiters (Antwort der Bundes- 
regierung auf die Mündliche Frage 27 des Abgeordneten Jan Körte, Plenarpro- 
tokoll 18/3). 

Kenntnisse der Bundesregierung von den Vorwürfen gegen CSC 

1 . Seit wann hat die Bundesregierung und/oder eine Bundesbehörde Kenntnis 
von den Vorwürfen, CSC bzw. Teile des Unternehmens oder eine ihrer 
Tochterfirmen seien an den sog. Kondition Flights und Entführungsfällen 
wie dem von Khalid El-Masri beteiligt gewesen (bitte um genaue Datierung 
und die Nennung der Behörden, die zuerst von diesen Vorwürfen erfuhren)? 

Die Bundesregierung hat von den Behauptungen durch die jeweiligen Pressever- 
öffentlichungen erfahren. Eine Vorabinformation an die Bundesregierung oder 
einzelne Behörden erfolgte nicht. 


2. Wer wurde wann mit der Aufklämng dieses Verdachts beauftragt, und wel- 
che Maßnahmen wurden aufgmnd dieses Wissens seither konkret veran- 
lasst? 

Innerhalb der Bundesregierung ist das Bundesministerium des Innern (BMI) zu- 
ständig. 

Die Bundesregierung hat eine schriftliche Stellungnahme der Computer Science 
Corporation (CSC) Deutschland Solutions GmbH eingefordert, Gespräche mit 
dem Vorstandsvorsitzenden der CSC Deutschland Solutions GmbH geführt und 
die Antworten der CSC Deutschland Solutions GmbH mit eigenen Erkenntnis- 
sen zusammengeführt. 


3. Wieso sieht die Bundesregiemng „zum jetzigen Zeitpunkt keine Veranlas- 
sung, ihre Auftragsvergabepraxis in Bezug auf CSC zu ändern“ (vgl. Ant- 
wort der Bundesregiemng auf die Mündliche Frage 24 des Abgeordneten 
Hans-Christian Ströbele in der Fragestunde vom 28. November 2013, Ple- 
narprotokoll 18/3), obwohl der Verdacht besteht, dass CSC an rechtswidrigen 
und strafbaren Handlungen wie der Verschleppung von (auch deutschen) 
Staatsbürgern mitgewirkt hat (vgl. Christian Fuchs und John Goetz: „Gehei- 
mer Krieg“, S. 193 ff.) und spätestens seit September 2013 auch Informa- 
tionen auf der Gmndlage von Snowden- Veröffentlichungen darüber vorlie- 
gen, dass die NSA aktiv daran arbeitet, Sicherheitslücken in Software zu 
verankern (SPIEGEL ONLINE vom 6. September 2013)? 

Die Bundesregierung hat keine Anhaltspunkte dafür, dass die CSC Deutschland 
Solutions GmbH in irgendeiner Weise gegen Sicherheits- oder Vertraulichkeits- 
auflagen verstoßen hat. Es bestehen insbesondere auch keinerlei Anhaltspunkte 
dafür, dass die CSC Deutschland als selbstständige Gesellschaft vertrauliche In- 
formationen an die amerikanische CSC weitergegeben hat, die von dort aus in 


Drucksache 18/334 


-4- 


Deutscher Bundestag - 18. Wahlperiode 


andere Hände gelangt sein können. Im Übrigen wird auf die Antwort auf die 
Mündliche Frage 24 des Abgeordneten Hans-Christian Ströbele im Rahmen der 
Fragestunde der 3. Sitzung des Deutschen Bundestages am 28. November 2013 
auf Plenarprotokoll 18/3, S. 135 bis 137 verwiesen. 


4. Hält die Bundesregiemng es für die Bewertung der Zuverlässigkeit der CSC 
im Hinblick auf deutsche Sicherheitsinteressen für ausreichend, sich auf 
den formaljuristischen Standpunkt zurückzuziehen, dass es sich bei der 
deutschen Tochterfirma der CSC um eine gegenüber der amerikanischen 
Mutterfirma „selbständige Gesellschaft“ handelt, so dass ihr diese von der 
Mutterfirma begangenen Menschenrechtsverletzungen nicht zuzurechnen 
seien? 

Auf die Antwort zu Frage 3 wird verwiesen. Die Bundesregierung sieht keine 
Veranlassung, ihre Auftragsvergabepraxis in Bezug auf die CSC Deutschland 
Solutions GmbH zu ändern. Insbesondere sieht sie keine rechtliche Handhabe 
für den Ausschluss der CSC Deutschland Solutions GmbH aus dem reglemen- 
tierten Verfahren zur Vergabe öffentlicher Aufträge. 


Transparenz öffentlicher Auftragsvergabe 

5. a) Beabsichtigt die Bundesregierung, den Abgeordneten des Deutschen 

Bundestages die mit CSC abgeschlossenen Verträge - gegebenenfalls in 
der Geheimschutzstelle - zugänglich zu machen, obwohl sie sich dazu 
rechtlich nicht verpflichtet sieht? 

b) Wenn nein, wamm nicht? 

6. a) Beabsichtigt die Bundesregierung, im Rahmen ihres Open-Govern- 

ment-Konzeptes eine öffentlich zugängliche Datenbank für Informatio- 
nen zur Vergabe öffentlicher Aufträge ab einem bestimmten Auftrags- 
volumen einzurichten, wie dies zum Beispiel in den USA praktiziert 
wird (siehe https://www.fpds.gov/fpdsng_cms/index.php/en/)? 

b) Falls nein, wamm nicht? 

Die Fragen 5 und 6 werden wegen ihres Sachzusammenhangs gemeinsam be- 
antwortet. 

Die Bundesregiemng prüft, ob und inwieweit dies möglich ist. 


7. a) Beabsichtigt die Bundesregiemng, die Konvention des Europarates 
über den Zugang zu amtlichen Dokumenten (Council of Europe Treaty 
Series - No. 205) zu zeichnen, wonach im nationalen Informations- 
zugangsrecht abwägungsresistente absolute Schutzgüter durch Abwä- 
gungsklauseln ersetzt werden müssen? 

b) Falls nein, wamm nicht? 

Das am 1. Januar 2006 in Kraft getretene Informationsfreiheitsgesetz des Bun- 
des (IFG) erfüllt seinen Zweck. Gleiches gilt für die Informationsfreiheitsge- 
setze der Länder. Insoweit gibt es gegenwärtig keinen Handlungsbedarf, auch 
nicht zur Ratifizierung der Konvention des Europarates über den Zugang zu 
amtlichen Dokumenten. 


8. a) Beabsichtigt die Bundesregiemng, in dieser Legislaturperiode einen Ge- 
setzentwurf zur Reform des Informationsfreiheitsgesetzes (IFG) auf der 
Gmndlage des vom Deutschen Bundestag in Auftrag gegebenen Eva- 
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luationsberichts zum IFG (Ausschussdrucksache 17(4)522 B) vorzule- 
gen? 

b) Wenn nein, warum nicht? 

c) Wenn ja, wird die Bundesregierung in dem Gesetzesentwurf die Schaf- 
fung einer Abwägungsklausel vorsehen, die eine Verpflichtung zur He- 
rausgabe von Informationen enthält, sofern das Informationsinteresse 
der Öffentlichkeit das Interesse des Betroffenen auf Wahrung seiner Be- 
triebs- und Geschäftsgeheimnisse überwiegt, so wie dies der vom Deut- 
schen Bundestag in Auftrag gegebene Evaluationsbericht zum IFG emp- 
fiehlt (siehe Zusammenfassung und Empfehlungen zum Evaluationsbe- 
richt, Ausschussdrucksache 17(4)522 A, Nummer 2.4) 

d) Wenn nein, warum nicht? 

Eine Reform des IFG steht derzeit nicht im Vordergrund. Bei zukünftigen Über- 
legungen zur Änderung des IFG wird auch das vom Deutschen Bundestag in 
Auftrag gegebene Gutachten zur Evaluierung des IFG einbezogen. 


Bewertung der Zuverlässigkeit von CSC und anderen Firmen 

9. a) Wie schätzt die Bundesregiemng vor diesem Hintergmnd allgemein die 
Gefahr des Geheimnisverrates und der Datenverstöße durch private US- 
Firmen ein, die wie CSC Aufgaben in sicherheitssensitiven Bereichen 
für die Bundesregiemng übernommen haben und die in engem geschäft- 
lichen Kontakt zu US-Sicherheitsbehörden stehen? 

Es ist potenziell möglich, dass ausländische Nachrichtendienste Erkenntnisse 
auch mit Hilfe privater Firmen sammeln. Entsprechende Vorkehmngen sind im 
Rahmen des Geheimschutzes zu treffen. 

Die CSC Deutschland Solutions GmbH hat vorgetragen, dass sie in keiner ver- 
traglichen Beziehung zu der US-Regierung, insbesondere nicht zu NSA, FBI 
und CIA steht. Innerhalb des Gesamtkonzems sei eine andere Tochterfirma, die 
CSC North American Public Sector (NPS) als eigenständiger Geschäftsbereich 
mit Sitz in den USA, für das Geschäft mit US-Behörden zuständig. 

Die CSC Deutschland Solutions GmbH würde organisatorisch und personell 
völlig getrennt von CSC NPS operieren, es bestünde wechselseitig keinerlei Ein- 
blick in die Verträge und Tätigkeiten. 

Die Bundesregiemng hat keine Anhaltspunkte dafür, dass die CSC Deutschland 
Solutions GmbH in irgendeiner Weise gegen Sicherheits- oder Vertraulichkeits- 
auflagen verstoßen hat. Für andere Firmen wird dies jeweils im Einzelfall zu be- 
werten sein. 


b) Wie hat die Bundesregiemng, auch und gerade vor dem Hintergmnd der 
Snowden- Veröffentlichungen, sichergestellt, dass US-Behörden sich 
nicht über Vereinbamngen zum Geheimschutz, wie sie üblicherweise in 
Verträgen zwischen der Bundesregiemng und Auftragnehmern mit 
Blick auf Aufträge in sicherheitssensiblen Umgebungen getroffen wer- 
den, hinwegsetzen und die in Rede stehenden US-Untemehmen nicht 
von U S-Geheimdiensten zur Herausgabe von Informationen - beispiels- 
weise mit Verweis auf Belange der nationalen Sicherheit - gezwungen 
werden können? 

Im Rahmen von sicherheitsrelevanten Aufträgen sind neben auftragsspezifi- 
schen vertraglichen Vereinbamngen insbesondere auch die Regelungen des Ge- 
heimschutzes wie das Sicherheitsüberprüfungsgesetz und die Verschlusssachen- 
anweisung zu beachten. Dementsprechend können externe Auftragnehmer für 
sicherheitsrelevante Tätigkeiten in der Bundesverwaltung verpflichtet werden. 
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nur sicherheitsüberprüftes und ermächtigtes Personal einzusetzen. Die Sicher- 
heitsüberprüfung dieser Personen erfolgt durch das Bundesamt für Verfassungs- 
schutz. Der Auftragnehmer muss zudem die geltenden Festlegungen des Bun- 
desministeriums für Wirtschaft und Energie (BMWi) für die Geheimschutzbe- 
treuung der Wirtschaft erfüllen. 

Sofern Unternehmen im Rahmen von Aufträgen des Bundes amtlich geheim zu 
haltende und als solche kenntlich gemachte Informationen (Verschlusssachen) 
bearbeiten, vereinbart der Bund mit den Unternehmen die Einhaltung von Ge- 
heimschutzvorschriften. Diese umfassen ab dem Geheimhaltungsgrad VS- Ver- 
traulich die Geheimschutzbetreuung der Unternehmen und die Sicherheitsüber- 
prüfung der Mitarbeiter. 

Die Geheimschutzbetreuung schließt eine fortlaufende und bei gegebenen An- 
lässen, wie Erkenntnissen aus Veröffentlichungen, intensivierte Beratung und 
Kontrolle der Unternehmen ein. Die Mitarbeiterinnen und Mitarbeiter werden 
sicherheitsüberprüft und über Geheimschutz- und Strafvorschriften belehrt. 

Zudem wird der Geheimschutz durch organisatorische Maßnahmen sicherge- 
stellt. Zum Beispiel arbeiten die externen Mitarbeiter in der Projektgruppe Steu- 
erung Netze des Bundes ausschließlich mit Flardware (u. a. Computer), die 
durch den Bund zur Verfügung gestellt wird. Des Weiteren ist es diesen externen 
Mitarbeitern untersagt, Unterlagen an ihre geschäftlichen oder privaten Adres- 
sen zu senden. Unterlagen, die die Regierungsnetze verlassen und dienstlich re- 
levante Informationen beinhalten, müssen vor Versand mit einem durch den 
Bund bereitgestellten Verschlüsselungsmechanismus (Chiasmus) verschlüsselt 
werden. In der Regel erfolgt der Versand von Unterlagen an Adressen außerhalb 
der Regierungsnetze durch zentrale Ansprechpartner in der Projektgmppe und 
nicht durch die jeweiligen Mitarbeiter. 

Sofern belastbare Erkenntnisse vorliegen, die Zweifel an der Einhaltung von 
Vereinbarangen zum Geheimschutz begründen, besteht allgemein die Möglich- 
keit des Ausschlusses der Firma aus der Geheimschutzbetreuung. 

c) Teilt die Bundesregierung die Auffassung der Fragesteller, dass es deut- 
sehe Untemehmensinteressen gefährden würde, wenn die deutschen 
Tochtergesellschaften der CSC eigenständig oder im Auftrag des Mut- 
terkonzems Wirtschaftsspionage betreiben würden? 

Die Bundesregierung teilt die Auffassung, dass Wirtschaftsspionage und Kon- 
kurrenzausspähung generell deutsche Untemehmensinteressen gefährdet. 

Sie hat keine Anhaltspunkte dafür, dass die CSC Deutschland Solutions GmbFI 
derartige Aktivitäten entfaltet. 

aa) Wenn ja, was tut die Bundesregiemng dagegen? 

Die Konkurrenzspionage, also das Ausspähen von vertraulichen Informationen 
unter privaten Wirtschaftsuntemehmen, unterliegt nicht dem Aufgabengebiet 
der Spionageabwehr des Bundesamtes für Verfassungsschutz. Dieses ist zustän- 
dig für die Bekämpfung der Wirtschaftsspionage, d. h. der durch staatliche Stel- 
len durchgeführten oder organisierten Ausspähung von internen Betriebsge- 
heimnissen. 

Das Bundesamt für Verfassungsschutz weist allerdings im Rahmen seiner Wirt- 
schaftsschutzaktivitäten - insbesondere bei Sensibilisiemngsvorträgen und bila- 
teralen Sicherheitsgesprächen - auf die Gefahren sowohl der Wirtschaftsspio- 
nage als auch der Konkurrenzausspähung hin. 
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bb) Wenn nein, warum nicht? 

Hierzu wird auf die Antwort zu Frage 9aa verwiesen. 

d) Ist der Bundesregierung bekannt, dass Tochtergesellschaften der CSC 
eigenständig oder im Auftrag des Mutterkonzems Wirtschaftsspionage 
betrieben haben? 

Wenn ja, was für Konsequenzen zieht sie daraus? 

Hierzu liegen der Bundesregierung keine Erkenntnisse vor. 


10. Auf welche Vorschriften zur besonderen Prüfung der Zuverlässigkeit im 
Falle von schweren Verfehlungen des Bewerbers und bestimmten sensi- 
blen Aufträgen bezieht sich der Parlamentarische Staatssekretär Emst 
Burgbacher in seiner Antwort auf Frage 6 (Plenarprotokoll 18/3) genau? 

Der Parlamentarische Staatssekretär beim Bundesministerium für Wirtschaft 
und Technologie, Ernst Burgbacher, bezog sich neben der gmndsätzlichen Vor- 
schrift zur Eignungs-ZZuverlässigkeitsprüfung des § 97 Absatz 4 Satz 1 des 
Gesetzes gegen Wettbewerbsbeschränkungen (GWB) auf die Vorschriften der 
Vergabe- und Vertragsordnungen VOB/A und VOL/A (§ 6EG Absatz 4 und 6 
VOL/A sowie § 6EG Absatz 4 VOB/A und § 6 VS Absatz 4 VOB/A). Diese Vor- 
schriften regeln den Ausschluss vom Vergabeverfahren u. a. wegen der straf- 
rechtlichen Verurteilung wegen Geldwäsche, Bestechung und Betrug sowie we- 
gen mangelndem finanziellem Leistungsvermögen (Insolvenz) oder schwerer 
beruflicher Verfehlung, die nachweislich die Zuverlässigkeit des Bewerbers in 
Frage stellt. 


11. a) Gibt es sonstige Kriterien für die Prüfung der Zuverlässigkeit privater 
Dienstleister im Hinblick auf nationale Sicherheits- und Datenschutz- 
interessen, etwa im Rahmen von Verwaltungsvorschriften, die bei der 
Vergabe öffentlicher Aufträge durch Bundesbehörden angewandt wer- 
den? 

b) Falls ja, wie ist deren Wortlaut? 

Es bestehen keine für alle Geschäftsbereiche der Bundesregierung geltenden, 
über die existierenden rechtlichen Vorgaben hinausgehenden derartigen Krite- 
rien. Die erforderlichen Zuverlässigkeitskriterien müssen für jede konkrete Be- 
schaffung bei den Beschaffungsstellen des Bundes im Detail ausgestaltet wer- 
den. 


12. Welche dieser Vorschriften wurde bei den an CSC oder ihre Tochtemnter- 
nehmen vergebenen Aufträgen mit welchem Ergebnis geprüft, und mit 
welcher Begründung wurde jeweils die Zuverlässigkeit von CSC bejaht 
(bitte im Einzelnen für alle Aufträge aufschlüsseln)? 

Die Antwort ist — aufgeschlüsselt auf die jeweils den Auftrag erteilenden Behör- 
den und die einzelnen Aufträge — in den Tabellenanhängen enthalten, sofern 
nicht nachfolgend Ausführungen gemacht werden.* 


* Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 
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Hinweis: 

Für das Bundesministerium für Wirtschaft und Energie (BMWi), das Bundesmi- 
nisterium für Gesundheit (BMG) und das Bundesministerium für Umwelt, Na- 
turschutz, Bau und Reaktorsicherheit (BMUB) sind zu den Fragen 12, 19, 20a 
und 20b, 23, 24a und 24b und 29 keine gesonderten Beiträge für die Tabellen- 
anhänge (siehe Anlage) zugeliefert worden.* 

Zur Auftragsvergabe an die Firma CSC wird ergänzend zunächst auf die Ant- 
worten auf die Mündliche Frage 24 des Abgeordneten Hans-Christian Ströbele 
auf Plenarprotokoll 18/3, S. 135 bis 137 vom 28. November 2013 sowie auf die 
Mündliche Frage 26 des Abgeordneten Uwe Kekeritz auf Plenarprotokoll 18/3, 
S. 137 vom 28. November 2013 verwiesen. 

Alle Unternehmen, welche mit sicherheitsempfmdlichen Tätigkeiten (z. B. VS- 
Aufträge von Behörden) nach § 1 Absatz 2 Nummer 1 bis 3 des Sicherheitsüber- 
prüfungsgesetzes (SÜG) betraut sind, werden vom BMWi als der nach § 25 SÜG 
zuständigen Behörde im Rahmen des „Geheimschutzes Wirtschaft“ in allen Ge- 
heimschutzfragen und bei den erforderlichen Geheimschutzmaßnahmen betreut 
und kontrolliert. Das BMWi stellt damit sicher, dass die für den Geheimschutz 
in der Wirtschaft konkret erforderlichen Maßnahmen und Regeln zum Zugang 
von Verschlusssachen eingehalten werden. Dies wird detailliert im Geheim- 
schutzbuch (GHB) geregelt, das wiederum auf weiteren Verwaltungsvorschrif- 
ten des BMWi und des BMI basiert, z. B. der Allgemeinen Verwaltungsvor- 
schrift des BMI zum materiellen und organisatorischen Schutz von Verschluss- 
sachen (VS -Anweisung - VSA). 

Die sicherheitliche Freigabe wird für jeden Vergabefall eingeholt. Die Auftrag- 
nehmer werden stets vertraglich zur Einhaltung der sicherheitlichen Vorgaben 
verpflichtet. Insofern bezieht sich die vergaberechtliche Eignungsprüfung einer 
Firma vor Vergabe eines Auftrags auf die sicherheitliche Eignung und darüber 
hinaus auf die Frage, ob konkrete Erkenntnisse vorliegen, die Zweifel an der Zu- 
verlässigkeit einer Firma im wirtschaftlichen Sinne begründen. Aus sicherheit- 
licher und wirtschaftlicher Sicht sprach zum Zeitpunkt der Auftragsvergabe 
nichts gegen die jeweilige Beauftragung der Firma CSC Deutschland Solutions 
GmbH. 

Bei den vom Beschaffungsamt des Bundesministeriums des Innern abgeschlos- 
senen Rahmenverträgen handelte es sich um folgende Aufträge: 

1. IT-Dienstleistungen ab 201 1; Rahmenvertrag Los 1 „Entwicklung“/4. Januar 

2012; 

2. IT- und Prozessberatung im Drei-Partner-Modell/20. April 2009; 

3. Betriebsunterstützungsleistungen für die e-Vergabe Plattform/23. April 2012; 

4. IT-Beratung zur Realisierung von E-Govemment in der Bundesverwaltung/ 
24. Januar 2007. 

In allen Fällen wurde das Standardformular des BeschA „Eigenerklärung zur 
Zuverlässigkeit“ eingefordert. Darüber hinaus wurden folgende Vorschriften ge- 
prüft bzw. die Zuverlässigkeit der CSC Deutschland Solutions GmbH mit fol- 
gender Begründung bejaht: 

1. IT-Dienstleistungen ab 20 1 1 Rahmenvertrag Los 1 „Entwicklung“: 

Im Rahmen des Teilnahmewettbewerbes mussten die Teilnehmer sich zur ver- 
traulichen Verwendung der Ausschreibungsunterlagen verpflichten. Darüber hi- 


* Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 
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naus musste eine Eigenerklärung zur persönlichen Lage abgegeben werden, in 
der der Bewerber erklärt, dass 

• über sein Vermögen weder das Insolvenzverfahren noch ein vergleichbares 
gesetzliches Verfahren eröffnet oder die Eröffnung beantragt oder dieser An- 
trag mangels Masse abgelehnt worden ist; 

• er sich nicht in Liquidation befindet; 

• er keine schwere Verfehlung begangen hat, die seine Zuverlässigkeit in Frage 
stellt; 

• er seine Verpflichtung zur Zahlung von Steuern und Abgaben sowie der Bei- 
träge zur gesetzlichen Sozialversicherung ordnungsgemäß erfüllt hat; 

• er im Teilnahmeantrag keine unzutreffende Erklärung in Bezug auf seine Eig- 
nung abgegeben hat; 

• er sich in der Geheimschutzbetreuung des Bundesministeriums für Wirt- 
schaft und Technologie befindet oder dass er bereit ist, sein Unternehmen in 
die Geheimschutzbetreuung des Bundesministeriums für Wirtschaft und 
Technologie aufnehmen zu lassen, und sein Unternehmen alles dazu beiträgt, 
dass das Aufnahmeverfahren erfolgreich und ohne Zeitverzögerung verläuft. 
Sollte die Sicherheitsüberprüfung des vom Unternehmen bestimmten Perso- 
nenkreises vor der Leistungserbringung nicht erfolgreich verlaufen, so muss 
das Unternehmen andere Personen benennen, bei denen eine Sicherheitsüber- 
prüfung durchgeführt wird. Sofern keine ausreichende Zahl an sicherheits- 
überprüften Mitarbeitern bereitgestellt werden kann, behält sich die Auftrag- 
geberin vor, aus wichtigem Grund vom Vertrag zurückzutreten und Ansprü- 
che auf Ersatz des entstehenden Schadens geltend zu machen; 

• er das Einverständnis der im Rahmen des Auftrags eingesetzten Mitarbeiter 
zu einer Sicherheitsüberprüfung (Ü2) gemäß § 8 SÜG einholen wird; 

• er spätestens nach Auftragserteilung einen betrieblichen Datenschutzbeauf- 
tragten (§ 4f Absatz 1 des Bundesdatenschutzgesetzes [BDSG]) bestellen 
wird; 

• er das Einverständnis aller von ihm im Bundesverwaltungsamt eingesetzten 
Mitarbeiter zur Verpflichtung auf das Datengeheimnis (§ 5 BDSG) einholen 
wird. 

Außerdem ist bei den Einsatzbedingungen folgender Passus zu finden: 

„Eine Zusage zur Einleitung einer Sicherheitsüberprüfung aller im Bundeskri- 
minalamt einzusetzenden Mitarbeiter nach dem SÜG ist daher zwingend.“ 

Dies wird auch mit einem Ausschlusskriterium abgefragt. 

2. IT- und Prozessberatung im Drei-Partner-Modell: 

Im Rahmen des Teilnahmewettbewerbes wurde eine Bestätigung gefordert, dass 
die Vergabeunterlagen vertraulich behandelt werden und diese bzw. darin ent- 
haltenen Informationen nicht an Dritte weitergegeben werden. Zur Sicherheits- 
überprüfung wurde in der Leistungsbeschreibung Folgendes ausgeführt: 

„Auch bei Sicherheitsbehörden oder in sicherheitsempfindlichen Bereichen 
werden Projekte zu realisieren sein. Damit gewährleistet werden kann, dass so- 
wohl das Kemteam als auch im Einzel- und Bedarfsfall hinzuzuziehende Exper- 
ten zeitnah und bedarfsgerecht eingesetzt werden können, setzt der Bedarfsträ- 
ger (BT) voraus, dass seitens des Auftragnehmers (AN) vor dem konkreten Pro- 
jekt die erforderliche Sicherheitsüberprüfung für diejenigen Mitarbeiter ver- 
anlasst worden ist, die dem vorgenannten Personenkreis entsprechen. Die 
Sicherheitsbevollmächtigten des AN sind verpflichtet, im Bedarfsfall eine Si- 
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cherheitsbescheinigung für die in sicherheitsempfindlichen Projekten einzuset- 
zenden Mitarbeiter zu erstellen und unaufgefordert dem Geheimschutzbeauf- 
tragten der zu beratenden Behörde zuzuleiten (bilaterale Verpflichtung zwischen 
AN und Kunde).“ 

Zur Vertraulichkeit wurde in der Leistungsbeschreibung Folgendes ausgeführt: 

„Der AN ist verpflichtet, alle Informationen aus der Tätigkeit zu den Rahmen- 
verträgen vertraulich zu behandeln. Eine Weitergabe an Dritte ist nur mit vorhe- 
riger schriftlicher (E-Mail) Zustimmung des BT zulässig. Unabhängig davon 
sind die Geheimhaltungsvorschriften des Bundes und das BDSG zu berücksich- 
tigen.“ 

Zum Schutz vertraulicher Unterlagen wurde in einem Ausschlusskriterium Fol- 
gendes abgefragt: 

„Dienstleistungen sind im gesamten Bundesgebiet zu erbringen. Können Sie si- 
cherstellen, dass in diesen Fällen vertrauliche Unterlagen nur Befugten zur 
Kenntnis gelangen?“ 

Der Rahmenvertragsentwurf sieht zur Vertraulichkeit folgende Regelung vor: 

„Der Auftragnehmer sichert zu, dass seine Mitarbeiterinnen und Mitarbeiter die 
zu bearbeitenden Aufgaben, Informationen, Unterlagen, Daten etc. gegenüber 
Dritten vertraulich behandeln werden. Diese Pflicht bleibt nach Beendigung des 
Vertrages bestehen.“ 

3. Betriebsunterstützungsleistungen für die e- Vergabe Plattform: 

Es handelt sich um einen EVB -IT- Vertrag. Er enthält unter Punkt 8 eine Klausel, 
in der die Mitwirkungsleistungen des Auftraggebers bezüglich „Zugangs- und 
Zutrittsrechte im Rahmen der Aufgabenerledigung und unter Beachtung der 
Vorschriften des Datenschutzes und der IT- Sicherheit“ festgehalten werden. 

4. IT-Beratung zur Realisierung von E-Govemment in der Bundesverwaltung: 

Die Leistungsbeschreibung enthält ein Kapitel zur Sicherheitsüberprüfung: 

„Es ist davon auszugehen, dass einzelne Projekte bei Sicherheitsbehörden oder 
im Sicherheitsbereich von Behörden zu realisieren sind. Sofern die MA des AN 
nicht sicherheitsüberprüft sind, wird vorausgesetzt, dass der AN mit einer be- 
darfsabhängigen Sicherheitsüberprüfung seiner MA einverstanden ist.“ 

Außerdem ist ein Ausschlusskriterium zum Schutz vertraulicher Unterlagen auf- 
geführt: „Dienstleistungen sind im gesamten Bundesgebiet zu erbringen. Kön- 
nen Sie sicherstellen, dass in diesen Fällen vertrauliche Unterlagen nur Befugten 
zur Kenntnis gelangen (Antwort: nur ja oder nein)?“ 

Der Rahmenvertrag enthält darüber hinaus Klauseln zu Vertraulichkeit und Da- 
tenschutz (ähnlich wie Auftrag Nummer 2). 


13. Welche Stelle innerhalb der Bundesregierung ist mit den Konsequenzen 
aus den Berichten des Europarates (z. B. AS/Jur (2006) 03 rev) und des 
Europäischen Parlaments (z. B. P6_TA(2007)0032 und Pressemitteilung 
vom 10. Oktober 20 1 3) zu den CIA-Rendition-Flights zuständig, und wel- 
che Hinweise hat diese Stelle für die Auftragsvergabe des Bundes gege- 
ben? 

Deutschland hat immer deutlich gemacht, dass es die so genannten Programme 
zur Überstellung und geheimen Inhaftierung von Personen nicht als legitimes 
Instrument im Kampf gegen den internationalen Terrorismus ansieht. Deutsche 
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Stellen haben an sogenannten CIA-Gefangenentransportflügen zu keinem Zeit- 
punkt an keinem Ort mitgewirkt. 

Die Aufklärung der möglichen Gefangenentransporte über deutsches Staatsge- 
biet wurde von deutschen Institutionen gewissenhaft betrieben. Der Deutsche 
Bundestag hat zu den CIA-Gefangenentransportflügen im Jahr 2006 einen par- 
lamentarischen Untersuchungsausschuss eingesetzt und im Jahr 2007 den ehe- 
maligen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, 
Dr. Joachim Jacob, mit einer unabhängigen Untersuchung über CIA-Gefangenen- 
transporte über deutsches Staatsgebiet beauftragt. Diese Untersuchung ist zu 
dem Ergebnis gekommen ist, dass die Bundesregierung - jeweils nur nachträg- 
lich - Kenntnis von lediglich zwei CIA-Gefangenenflugfransporten über deut- 
sches Staatsgebiet erlangt hat. Zwei Transporte durch den deutschen Luftraum 
konnten belegt werden. 

Auch der Bericht der Vereinten Nationen vom 26. Januar 2010 hat festgestellt, 
dass deutsche öffentliche Stellen weder direkt noch indirekt an solchen Überstel- 
lungen und geheimen Inhaftierungen anderer Staaten beteiligt waren. 

Ob der Deutsche Bundestag oder sein Beauftragter Hinweise für die Auffrags- 
vergabe des Bundes gegeben hat, ist in umfassender Weise nur dem Deutschen 
Bundestag bekannt. 


14. Ergaben sich aus den Leistungsbeschreibungen, auf denen die spätere Be- 
auftragung der CSC im Zusammenhang mit De-Mail bemht, besondere 
Anfordemngen an die Zuverlässigkeit des Auftragnehmers im Sinne von 
§ 97 Absatz 4 Satz 1 des Gesetzes gegen Wettbewerbsbeschränkungen? 

Die Beauftragung der CSC Deutschland Solutions GmbH für das Projekt De- 
Mail erfolgte durch Einzelverträge auf der Basis eines Rahmenvertrages. Mit 
Blick auf die Natur der Leistung wurden die rahmenvertraglich vorgesehenen 
Anforderungen an die Zuverlässigkeit des Auftragnehmers zugrunde gelegt. 


15. Sind die Vorschriften des EU- Vergaberechts bei Aufträgen im Bereich von 
Sicherheit und Verteidigung anwendbar? 

Für die Vergabe von verteidigungs- und sicherheitsrelevanten Dienstleistungs- 
aufträgen im Sinne des § 99 Absatz 7 GWB gelten die Verfahrensvorschriften 
der Vergabeverordnung in den Bereichen Verteidigung und Sicherheit (VS- 
VgV), mit der die Richtlinie 2009/81/EG des Europäischen Parlaments und des 
Rates vom 13. Juli 2009 über die Koordiniemng der Verfahren zur Vergabe be- 
stimmter Bau-, Liefer- und Dienstleistungsauffräge in den Bereichen Verteidi- 
gung und Sicherheit umgesetzt wurde. Diese Vorschriften sind nur dann an- 
wendbar, wenn es sich um einen verteidigungs-Zsicherheitsrelevanten Auftrag 
im Sinne der Richtlinie 2009/81/EG handelt. 


16. a) Fand in allen Fällen der Auftragsvergabe durch das Bundesministe- 
rium der Verteidigung an CSC oder eine ihrer Tochterfirmen eine öf- 
fentliche Ausschreibung statt? 

b) Wenn nein, wamm in welchen Fällen nicht (bitte aufschlüsseln mit Da- 
tum und Begründung)? 

c) Wenn ja, wie viele und welche Unternehmen haben sich beworben, und 
was hat jeweils den Ausschlag für die Auftragsvergabe an CSC gege- 
ben? 
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Zur Beantwortung wird auf die Angaben zu den im Geschäftsbereich des Bun- 
de sministeriums der Verteidigung erteilten Aufträgen in den Tabellenanhängen 
verwiesen.* Zu Frage 16c wird ergänzend mitgeteilt, dass, soweit Aufträge im 
Wettbewerb vergeben wurden, die CSC bzw. ihre Tochterunternehmen jeweils 
das wirtschaftlichste Angebot abgegeben hatten. 


17. a) Wird das Bundesamt für Verfassungsschutz in seiner Funktion als 
Spionageabwehrbehörde in den Prozess der öffentlichen Auftragsver- 
gabe der Bundesbehörden von IT-Dienstleistungen an private Dienst- 
leister einbezogen? 

Das Bundesamt für Verfassungsschutz wird in denjenigen Fällen als mitwir- 
kende Behörde im Rahmen einer Sicherheitsüberprüfung gemäß dem SÜG für 
die an einem Auftrag beteiligten Beschäftigten des privaten Dienstleisters tätig, 
in denen der Auftrag ein „VS-Auftrag“ ist, in dessen Rahmen der beauftragte 
Dienstleister die Möglichkeit hat, von „VS-Vertraulich“ oder höher eingestuften 
Tatsachen, Gegenständen oder Erkenntnissen Kenntnis zu erlangen, der Dienst- 
leister derartige Informationen verarbeitet oder in denen er entsprechende Tatsa- 
chen, Gegenstände oder Erkenntnisse erstellt. 

Die Einbeziehung für die Sicherheitsüberprüfung von Personen erfolgt nur auf 
Antrag der zuständigen Stelle, die für die Durchführung der Sicherheitsüberprü- 
fung verantwortlich ist. 

Dies ist in der Regel das BMWi. Hinsichtlich der Auftragsvergabe als solcher 
wird das Bundesamt für Verfassungsschutz nur einbezogen, wenn die verge- 
bende Behörde sich im Einzelfall an das Bundesamt für Verfassungsschutz wen- 
det. 


b) Wenn ja, auf welcher Rechtsgmndlage? 

Die Beteiligung bei Sicherheitsüberprüfungen von Personen erfolgt auf der 
Grundlage des SÜG vom 20. April 1994 (BGBl. I S. 867), zuletzt geändert durch 
Artikel 4 des Gesetzes vom 7. Dezember 2011 (BGBl. I S. 2576, 2578). 

Die Beteiligung außerhalb der Personenüberprüfung im Einzelfall erfolgt auf 
der Grundlage von § 1 9 des Gesetzes über die Zusammenarbeit des Bundes und 
der Länder in Angelegenheiten des Verfassungsschutzes (Bundesverfassungs- 
schutzgesetz - BVerfSchG) vom 20. Dezember 1990 (BGBl. I S. 2954, 2970), 
zuletzl geändert durch Artikel 6 des Gesetzes vom 20. Juni 2013 (BGBl. I 
S. 1602). 


c) Wenn nein, weshalb nicht? 

Eine Verpflichtung zur Beteiligung des Bundesamtes für Verfassungsschutz im 
Übrigen besteht nicht. 


18. a) Wird das Bundesamt für Sicherheit in der Informationstechnik in den 
Prozess der öffentlichen Auftragsvergabe der Bundesbehörden von IT- 
Dienstleistungen an private Dienstleister einbezogen? 

b) Wenn ja, auf welcher Rechtsgmndlage? 

c) Wenn nein, weshalb nicht? 


* Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 
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Das Bundesamt für Sicherheit in der Informationstechnik (BSl) ist nicht in den 
Prozess der öffentlichen Auftragsvergabe von IT-Dienstleistungen anderer Bun- 
desbehörden an private Dienstleister einbezogen. Es fehlt eine rechtliche Grund- 
lage. Im Übrigen kann das BSl nur Aussagen zu vom BSl zertifizierten IT-Pro- 
dukten und zertifizierten IT-Sicherheitsdienstleistem treffen. 


19. a) Gab es in der Vergangenheit Fälle, in denen im Vergabeverfahren von 
Bundesbehörden Bewerber wegen mangelnder Zuverlässigkeit im 
Hinblick auf Sicherheits- und Geheimhaltungsinteressen abgelehnt 
wurden? 

b) Wenn ja, welche Bundesbehörden und welche Aufträge betraf dies? 

Die Antwort ist — aufgeschlüsselt auf die jeweils den Auftrag erteilenden Behör- 
den und die einzelnen Aufträge — in den Tabellenanhängen enthalten und bezieht 
sich auf Zeiträume ab 2009.* 

c) Wenn ja, auf welcher Rechtsgmndlage und mit welcher Begründung 
wurden die jeweiligen Bewerber abgelehnt? 

Die Ablehnung von Bewerbern bei einem Teilnahmewettbewerb bzw. von Bie- 
tern im Angebotsverfahren erfolgt grundsätzlich gemäß den spezifischen Krite- 
rien der Vergabeunterlage und § 16 Absatz 5 VOL/A bzw. § 19 Absatz 5 EG 
VOL/A. Soweit für ein Unternehmen keine sicherheitliche Freigabe erteilt wird 
(vgl. die Antwort zu Frage 12), wird dieses nicht in ein Vergabeverfahren einbe- 
zogen. ln Ermangelung eines entsprechenden Bedarfes wird hierzu keine geson- 
derte Statistik geführt. Einzelne Erkenntnisse sind im Tabellenanhang verzeich- 
net. 


20. a) Gab es in der Vergangenheit Fälle, in denen beauftragte Dienstleistun- 
gen oder gekaufte Produkte privater IT-Firmen wegen Sicherheitsbe- 
denken nicht genutzt wurden? 

b) Wenn ja, welche genau (bitte nach Namen der Unternehmen, ggf. Pro- 
duktnamen und Herkunftsländern auflisten)? 

Es gab in der Vergangenheit Fälle, in denen nach Bekanntwerden einer Sicher- 
heitslücke auf den weiteren Einsatz einer gekauften Software bis zur Behebung 
der Lücke verzichtet wurde. Es ist der Bundesregierung nicht möglich, zu diesen 
Fällen ein Verzeichnis vorzulegen, da diese Vorgänge nicht systematisch erfasst 
werden. 


21. Was sind die Ausnahmen in den Rahmenverträgen, die laut Auskunft des 
BMWi „in der Regel Klauseln, nach denen es untersagt ist, bei Vertrags- 
erfüllung zur Kenntnis erlangte vertrauliche Daten an Dritte weiterzulei- 
ten“ enthalten (www.sueddeutsche.de vom 16. November 2013)? 

Die Bundesregierung geht davon aus, dass der Fragesteller sich auf ein Zitat des 
BMI bezieht. Die aus dem Zusammenhang herausgelöste zitierte Antwort des 
BMI bezog sich nicht auf Verträge, die der Bund mit der CSC Deutschland So- 
lutions GmbH geschlossen hat. Die Rahmenverträge des Bundes mit der CSC 
Deutschland Solutions GmbH enthalten keine Ausnahmen. 


* Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 
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22. a) Sieht die Bundesregierung angesichts der Enthüllungen durch Eward 
Snowden und die zitierten Veröffentlichungen der „Süddeutschen Zei- 
tung“, des „NDR“ und von Christian Fuchs und John Goetz bekannt 
gewordenen zentralen Rolle privater Firmen im US-amerikanischen 
Antiterrorkampf Änderungsbedarf im deutschen Vergaberecht? 

b) Wenn ja, welchen Änderungsbedarf genau? 

c) Bestehen insoweit europarechtliche Beschränkungen, und wenn ja, 
welche genau? 

Drei neue EU-Richtlinien zur Reform des öffentlichen Auftragswesens, die vo- 
raussichtlich in Kürze in Kraft treten werden, sind innerhalb der Umsetzungs- 
frist von zwei Jahren in deutsches Recht umzusetzen. Flierbei werden zahlreiche 
Änderungen und Anpassungen der deutschen Regelungen erforderlich sein. Die 
Bundesregierung wird in diesem Rahmen etwaigen Änderungsbedarf prüfen. 


Sicherheitsvorkehmngen im Rahmen der Beauftragung 

23. ln welchen Fällen wurde im Rahmen der Auftragsvergabe der Bundesre- 
giemng an CSC oder eine ihrer Tochterfirmen bisher sicherheitsrelevante 
Soft- und/oder Flardware zur Verfügung gestellt, bestehende angepasst 
oder erweitert (bitte nach Bundesministerien/Bundesbehörden, Auftrags- 
gegenstand, bereitgestellter Soft-/Hardware bzw. vorgenommenen Anpas- 
sungen aufschlüsseln)? 

Die Antwort ist — aufgeschlüsselt auf die jeweils den Auftrag erteilenden Behör- 
den und die einzelnen Aufträge — in den Tabellenanhängen enthalten.* 


24. a) Inwieweit wurde der Bundesregiemng jeweils im Vorfeld vollständiger 
Einblick in die relevanten Entwicklungsunterlagen bzw. den Quellcode 
gewährt und eine Überprüfbarkeit durch deutsche Stellen gewährleis- 
tet? 

b) Wenn nein, wamm nicht? 

Die Antwort ist — aufgeschlüsselt auf die j eweils den Auftrag erteilenden Behör- 
den und die einzelnen Aufträge - in den Tabellenanhängen enthalten.* 


25 . ln welchen Fällen hat die Bundesregiemng bzw. ein durch sie beauftragtes 
Unternehmen, eine Behörde oder ein sonstiger Auftragnehmer die von 
Bundesbehörden genutzten Hard- und Softwareprodukte oder sonstige 
Dienste überprüft und auf etwaige Sicherheitslücken hin untersucht? 

Im Rahmen der Abnahmeprüfung werden Flard- und Softwareprodukte darauf 
hin untersucht, ob sie die vereinbarten Leistungsmerkmale aufweisen. 

Dem BSI obliegt im Rahmen seiner Zuständigkeit u. a. die Prüfung und Zulas- 
sung von IT- Sicherheitsprodukten für die Regierungskommunikation bzw. die 
Festlegung von Sicherheitsanforderungen an diese. Innerhalb des Regiemngs- 
netzes dürfen z. B. nur vom BSI zugelassene IT- Sicherheitsprodukte eingesetzt 
werden. 


Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 


Deutscher Bundestag — 18. Wahlperiode 


-15- 


Drucksache 18/334 


26. ln welchen Fällen wurde seitens der US-Behörden bzw. dem Unternehmen 
CSC oder eine ihrer Tochterfirmen nur eingeschränkter Einblick in rele- 
vante Unterlagen zu bereitgestellten Hard-/Softwarelösungen im Rahmen 
von Aufträgen gewährt, mithin unter Verweis auf die sogenannten Interna- 
tional Traffic in Arms Regulations (ITAR)? 

ln keinem Fall. 


27. a) Kann die Bundesregiemng ausschließen, dass im Rahmen von Dienst- 
leistungen der CSC oder ihrer Tochterfirmen Instrumente und Mecha- 
nismen wie Soft-/Hardwarekomponenten platziert wurden, die ein Ab- 
schöpfen nachrichtendienstlich relevanter Informationen durch die 
USA zum Nachteil oder Schaden der Bundesrepublik Deutschland er- 
möglichen bzw. nach sich gezogen haben? 

b) Wenn nein, wamm nicht, und welche Maßnahmen hat die Bundesre- 
giemng ergriffen, um diese Möglichkeit zu überprüfen bzw. nachträg- 
lich auszuschließen? 

c) Wenn ja, wodurch kann sie dies ausschließen? 

Die Bundesregierung hat keinerlei Erkenntnisse, dass durch die CSC Deutsch- 
land Solutions GmbH versucht wurde, vertragswidrige Soft- oder Hardware ein- 
zubringen, um Informationen zum Nachteil der Bundesrepublik Deutschland 
abzuschöpfen. 


28. Inwieweit verfügt die Bundesregiemng über angemessene eigene Kapazi- 
täten, um Bestandteile sicherheitsrelevanter IT-lnfrastruktur wie Soft-/ 
Hardware selbst auf Schadkomponenten zu überprüfen? 

Die mit der Steuerung der Netze des Bundes befasste Projektgruppe wird bei 
ihrer Aufgabenerledigung in Sicherheitsfragen eng durch das BSl betreut. 

Im Rahmen der VS-Zulassung prüft das BSl auch Bestandteile sicherheitsrele- 
vanter IT-lnfrastruktur wie Soft-/Hardware auf Schadkomponenten. 


29. a) Welche Geheimhaltungsvereinbamngen bestehen hinsichtlich des Ein- 
satzes von CSC-Mitarbeiterinnen und -Mitarbeitern in Projekten für 
Bundesbehörden, und mit welchen konkreten Haftungsregelungen 
bzw. Sanktionen sind diese Vereinbamngen versehen? 

Die Antwort ist — aufgeschlüsselt auf die jeweils den Auftrag erteilenden Behör- 
den und die einzelnen Aufträge — in den Tabellenanhängen enthalten.* Auf die 
Antwort zu Frage 12 wird verwiesen. 

Für den Geschäftsbereich des Bundesministeriums der Verteidigung wird ergän- 
zend mitgeteilt: 

ln Verträgen des Bundesamtes für Ausrüstung, Informationstechnik und Nut- 
zung der Bundeswehr bzw. dessen Vorgängerorganisationen wurde und wird re- 
gelmäßig ein Sicherheitsparagraph bei geheimschutzbedürftigen Verträgen mit 
inländischen Firmen eingefügt. Die „Geheimschutzvereinbarung“ ist eine An- 
lage, die zum jeweiligen Vertrag vereinbart wird und somit Vertragsbestandteil 
ist. Eine gesonderte, ausschließlich für den Fall der Verletzung dieser Geheim- 
schutzvereinbarung vereinbarte Haftungsregelung besteht nicht. Vielmehr kom- 
men bei einer Verletzung der „Geheimschutzvereinbarung“ durch einen Auf- 


* Von einer Drucklegung der Tabellen wurde abgesehen. Diese sind als Anlage auf Bundestagsdruck- 
sache 18/334 auf der Intemetseite des Deutschen Bundestages abrufbar. 
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tragnehmer die allgemeinen vertraglichen bzw. gesetzlichen Regelungen für 
Vertragsverletzungen zur Anwendung. Zusätzlich kamen und kommen einschlä- 
gige Regelungen gemäß Anlage, S. 133 bis 135 zur Anwendung. 

b) Hält die Bundesregiemng derartige Regelungen für sich allein für aus- 
reichend, um ein möglicherweise systematisches Ausspähen sowie die 
Weitergabe von sicherheitsrelevanten Informationen durch private 
Dienstleistungsunternehmen bzw. deren Mitarbeiterinnen und Mit- 
arbeiter an unbefügte Dritte bzw. Drittstaaten zu verhindern? 

c) Wenn ja, wie begründet sie diese Auffassung? 

Die Bundesregiemng hält vertragliche Regeln allein nicht für ausreichend, son- 
dern trifft abhängig vom Einzelfall weitere Maßnahmen, wie z. B. die Einhal- 
tung des „Vier-Augen-Prinzips“ oder die Beschränkung des Zugangs der Auf- 
tragnehmerin auf bloße Test- und Entwicklungssysteme. 


Gesamtherstellung: H. Heenemann GmbH & Co., Buch- und Offsetdruckerei, Bessemerstraße 83-91, 12103 Berlin, www.heenemann-druck.de 
Vertrieb: Bundesanzeiger Verlagsgesellschaft mbH, Postfach 10 05 34, 50445 Köln, Telefon {02 21)97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de 
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Geheimhaltungs- 
Vereinbarungen, 
bitte Handlungs- 
regelungen 
beschreiben und 
Sanktionen 
benennen 
(für Frage 29 a 
auszufüllen) 




siehe Anlagen 2, 3- 

1, 3-2, 4 

Einblick und 
Überprüfbarkei 
t des 

Quellcodes 
ja/nein, 
wenn nein: 

bitte 

Begründung 
(für Frage 24 
a,b auszufüllen) 



a) entfällt 

b) entfällt 


zur Verfügung 

stellen, 

anpassen, 

erweitern 

sicherheitsrele- 

vanter 

Software/Hardw 
are (bitte 
angeben, was 
(zur Verfügung 
stellen, 
anpassen, 
erweitern) und 
Software/Hard- 
ware benennen 
(für Frage 23 
auszufüllen) 


entfällt, da keine 
Bereitstellung 



nicht genutzte 
Dienstleistungen, 
bitte einschließlich 
des 

Produktnamens 
und des 

Herkunftslandes 
benennen 
(für Frage 20a,b 
auszufüllen) 

- entfällt 

- nicht zutreffend 




Bewerber, 

bitte 

Behörden 
benennen 
(für Frage 19 
auszufüllen) 





Auftragnehmer 
(für Fragen 
12,20a,b,23,24a,b,29 
a auszufüllen) 





Auftragsinhalt g/Datum 
(für alle Fragen 
auszufüllen) 





Frage 

Frage 
20 a 

b 

Frage 

23 

Frage 
24 a 

b 

Frage 
29 a, 
b, c 
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